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Betreft Consultatie wetsvoorstel gebruik bsn in de jeugdzorg 



Geachte heer Wever, 

Bij brief van 4 oktober jonstleden heeft u de Inspectie jeugdzorg in de 
gelegenheid gesteld te reageren op voornoemd wetsvoorstel. Door middel van 
deze brief maak ik gebruik van die gelegenheid. 

Het wetsvoorstel geeft aanleiding tot de volgende opmerkingen. 

In artikel 1, onderdeel D van het wetsvoorstel wordt voorgesteld in de Wet op de 
jeugdzorg een artikel in te voegen, te weten artikel 47b. Dit artikel bevat in het 
eerste lid, kort gezegd, de verplichting voor stichtingen en zorgaanbieders om op 
verzoek van de Inspectie jeugdzorg kosteloos alle inlichtingen en gegevens, 
waaronder persoonsgegevens, te verstrekken die noodzakelijk zijn voor het 
toezicht en de naleving van deze wet. De formulering van het voorgestelde artikel 
en, in het bijzonder, de toelichting daarop wekt echter enige onduidelijkheid. 

Het voorgestelde artikel 47b, eerste lid, Wet op de jeugdzorg is zo geformuleerd, 
dat de verplichting voor stichtingen en zorgaanbieders in beginsel geldt tijdens al 
het toezicht op naleving van de wet op de jeugdzorg. In het algemene deel van de 
Memorie van Toelichting, onderdeel 1.6, wordt deze bepaling ook op die wijze 
uitgelegd. In de artikelsgewijze toelichting wordt de verplichting naar de mening 
van de inspectie echter beperkter uitgelegd. In dit gedeelte van de toelichting 
wordt immers telkens gesproken over toezicht op het gebruik van het 
burgerservicenummer, waardoor de indruk ontstaat dat de verplichting uitsluitend 
geldt tijdens het toezicht op naleving van het onderhavige wetsvoorstel. Hier zal 
sprake zijn van een vergissing. Een dergelijke beperkte uitleg zou immers de 
indruk wekken dat stichtingen en zorgaanbieders tijdens het overige toezicht geen 
verplichting tot het verstrekken van inlichtingen en gegevens hebben, hetgeen 
duidelijk in strijd is met de algemene verplichtingen tot medewerking aan toezicht 
voor een ieder, als geformuleerd in afdeling 5.2 van de Algemene wet 
bestuursrecht. Ik wil u verzoeken deze vergissing te herstellen en het 
wetsvoorstel en de toelichting zo te formuleren dat op eenduidelige wijze tot 
uitdrukking komt wat de bedoeling van de wetgever is. 

Verder valt op dat in de laatste regel van het eerste lid van het voorgestelde 
artikel 47b wordt gesproken van "toezicht en de naleving van deze wet". Ik 
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Geachte mevrouw Schippers, 

Bij brief van 4 oktober 2010 zond de toenmalig Minister voor Jeugd en Gezin, mr. A. Rouvoet, de 
Nederlandse Vereniging voor Rechtspraak (NVvR) ter advisering het wetsvoorstel gebruik bsn in de 
jeugdzorg. Het ontwerpbesluit is besproken in de Wetenschappelijke Commissie van de NVvR. 

Onder dankzegging voor de geboden gelegenheid tot advisering, deelt de NVvR u mede dat het 
wetsvoorstel haar geen aanleiding heeft gegeven tot het maken van opmerkingen. 



Namens het bestuur van de Nederlandse Vereniging voor Rechtspraak, 
de Wetensmapjrelijke Commissie, 




F.F. Langémeijer, 
voorzitter 
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Aan de staatssecretaris van 

Volksgezondheid, Welzijn en Sport 

Drs. M.L.L.E. van Veldhuijzen van 

Zanten-Hyllner 

Postbus 16166 

2500 BD DEN HAAG 
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Geachte mevrouw van Veldhuijzen van Zanten, 

Bij brief van 4 oktober 2010 met bovengenoemd kenmerk verzocht uw ambtsvoorganger de Raad voor 
de rechtspraak (de "Raad") advies uit te brengen inzake het Wetsvoorstel bsn in de jeugdzorg (het 
"wetsvoorstel"). 

In dit wetsvoorstel wordt een verplichting voor zorgaanbieders en de stichting Bureau Jeugdzorg 
neergelegd om het burgerservicenummer te gebruiken bij het verwerken van gegevens van hun cliënten. 

Gehoord de gerechten, adviseert de Raad als volgt. 1 



Advies 

Het wetsvoorstel geeft geen aanleiding tot het maken van op- en aanmerkingen. Indien in een later 
stadium nog wijzigingen in het wetsvoorstel worden aangebracht die gevolgen hebben voor de 
rechtspleging dan wordt de Raad graag in de gelegenheid gesteld aanvullend te adviseren. 



De Raad voor de rechtspraak heeft op grond van artikel 95 Wet op de rechterlijke organisatie een wettelijke adviestaak 
met betrekking tot nieuwe wets- en beleidsvoorstellen die gevolgen hebben voor de rechtspraak. De adviezen worden 
vastgesteld na overleg met de gerechten. De Raad voorde rechtspraak is een adviescollege in de zin van artikel 79 en 80 
van de Grondwet. Bij het opstellen van zijn adviezen beoordeelt de Raad de voorgenomen wet- en regelgeving in het 
bijzonder op de gevolgen voor de organisatie en de werklast van de gerechten en op de (praktische) toepasbaarheid en 
uitvoerbaarheid. Rechters zijn bij de behandeling van individuele zaken niet gebonden aan de inhoud van de 
wetgevingsadviezen van de Raad voor de rechtspraak. 
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t.a.v. mevrouw Mr. J. Bosma 
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Onderwerp: Uw brief dd. 4 oktober 2010, kenmerk JZ/LJ-3020879. 
Geachte mevrouw Bosma, 

Het concept-wetsvoorstel met toelichting over het gebruik BSN in de jeugdzorg hebben wij met 
belangstelling gelezen. In ziekenhuizen wordt hier al gebruik van gemaakt. Wij kunnen ons vinden in 
het concept wetsvoorstel en hebben geen aanvullingen. 

Namens het bestuur NVK tekent, 
met vriendelnke-groeten, / / 




E.A.Landsmeer-Beker, kinderarts 
Bestuurslid 



E-mail: nvk@medweb.nl • Paediatric Association of the Netherlands . PO-Box 20059 NL-3502 LB Utrecht . http://www.nvk.pedianet.nt 
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Geachte mevrouw Bosma, 

In antwoord op uw brief dd. 4 oktober 2010 inzake het voorstel van wijziging van de Wet 
op de jeugdzorg in verband met de verplichting tot het gebruik van het 
burgerservicenummer in de jeugdzorg (gebruik bsn in de jeugdzorg), laat ik u hiermede 
weten hiermee akkoord te gaan. 

Vertrouwende u hiermee voldoende te hebben geïnformeerd, 




Mw. 5. Boeker 
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Geachte mevrouw Bosma, 

Bij brief van 4 oktober jl heeft u namens de toenmalige minister voor Jeugd en Gezin, 
de heer Rouvoet, het College van procureurs-generaal gevraagd te adviseren over een 
conceptwetsvoorstel Gebruik burgerservicenummer in de jeugdzorg. Het wetsvoorstel 
bevat een regeling voor het gebruik van het burgerservicenummer in de jeugdzorg. Het 
bevat een verplichting voor de jeugdzorg om het burgerservicenummer te gebruiken 
bij het verwerken van gegevens van hun cliënten. 

Het College heeft met belangstelling kennis genomen van het wetsvoorstel, maar ziet 
geen aanleiding tot het maken van enige opmerking. 

Hoogachtend, 



Het College van procureurs-generaal, 
namens deze, 

Directeur Beleid & Strategie 




Postbus 24 - 2160 AA Lisse 
Tel: 0252-421074 
www.artsenjgz.nl 

secretariaat@artsenjgz.nl 



T.a.v. Het programmaministerie voor jeugd en gezin 
directie Jeugdzorg 
ta.v. mevr. J. Bosma 
Postbus 16166 
2500 BD Den Haag 

Lisse, 9 november 2010 



Geachte mevrouw Bosma, 

Op 4 oktober jl. ontvingen wij van u het concept-wetsvoorstel gebruik bsn in de 
jeugdzorg. Dank hiervoor. 

De AJN heeft het wetsvoorstel gelezen. We hebben geen op- en aanmerkingen op het 
wetsvoorstel. 



Met vriendelijke groet, 
Elise Buiting 



llllillIIIÜP 



COLLEGE BESCHERMING PERSOONSGEGEVENS 



postadres Postbus 93374, 2509 AJ Den Haag bezoekadres Prins Clauslaan 20 

tel 070 - 381 13 00 fax 070 - 381 13 01 e-mail info@cbpweb.nl internet www.cbpweb.nl 



aan 



de Minister van VWS, 

de heer drs. J.F. Hoogervorst 

Postbus 20350 

2500 EJ DEN HAAG 



CONTACTPERSOON 



ONS KENMERK 



DATUM 



14 april 2005 
Z2005-0108 



UW BRIEF VAN 



28 januari 2005 



UW KENMERK 



onderwerp advies Wet gebruik BSN in de zorg 
Geachte heer Hoogervorst, 

Bij brief van 28 januari 2005 ontving het College bescherming persoonsgegevens (CBP) van u het 
verzoek om ingevolge artikel 51 lid 2 van de Wet bescherming persoonsgegevens (WBP) te 
adviseren over het concept van het wetsvoorstel gebruik burgerservicenummer in de zorg (Wet 
gebruik BSN in de zorg). Per brief van 22 februari 2005 heeft het CBP u laten weten meer dan de 
gebruikelijke zes weken nodig te hebben om advies over de Wet gebruik BSN in de zorg uit te 
kunnen brengen. Hierbij ontvangt u het advies van het CBP. 

Het CBP richt zich bij zijn toetsing met name op de gevolgen van het wetsvoorstel voor de 
bescherming van persoonsgegevens. Vanuit deze invalshoek bezien dient het wetsvoorstel te 
voldoen aan artikel 8 EVRM alsmede aan Richtlijn 95/46/EG, waar de WBP een uitwerking van 
vormt, en aanverwante wetgeving zoals de Wet inzake de Geneeskundige 
Behandelingsovereenkomst, opgenomen in het Burgerlijk Wetboek (BW) waarin het medisch 
beroepsgeheim is verankerd. 

Achtergrond beoogcje regeling 

In de Intentieverklaring van het ICT Platform in de Zorg (september 2000) stond dat in de 
zorgsector zo snel mogelijk moest worden gekomen tot een operationele landelijke ICT- 
infrastructuur. Een van de gemaakte afspraken was het instellen van een bij wetgeving ingevoerd 
"Zorg Identificatienummer" (ZIN). Na een onderzoek naar de haalbaarheid van invoering van 
een ZIN door de Zorgpasgroep heeft de Tafel "Persoonsnummerbeleid in het kader van 
identiteitsmanagement" ("Tafel Van Thijn") in het kader van het programma Stroomlijning 
Basisgegevens (een programma dat zich richtte op het verbeteren van de gegevenshuishouding 
van de overheid) in juni 2002 advies uitgebracht over de overheidsbrede invoering van 
persoonsnummers. Een van de standpunten van de Tafel Van Thijn was dat wanneer in een 
(deel)sector in belangrijke mate "bijzondere" gegevens in de zin van de WBP omgaan 
(bijvoorbeeld gegevens over de gezondheid in de zorgsector) het sectornummer in de regel niet 
gelijk zou kunnen zijn aan het BSN, dat in de andere sectoren zou worden ingevoerd. 

Op 14 mei 2004 hebben de Minister voor BVK en u de Tweede Kamer laten weten te onderzoeken 
of het aparte sectornummer voor de zorgsector kon worden losgelaten en het BSN ook in de zorg 
zou kunnen worden ingevoerd. Een van de voorwaarden daarvoor was een goede uitwerking van 
de privacyaspecten, waarbij advies zou worden gevraagd aan het CBP. 

Het Ministerie van VWS heeft vervolgens de werkgroep Sectorale Vertrouwensfunctie in de zorg 
in het leven geroepen, die de privacyaspecten bij invoering van het BSN in de zorg moest 
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uitwerken. Deze werkgroep bestond uit vertegenwoordigers van NICTIZ, NPCF, ZN, CVZ, 
KNMP, CIBG, NEN en BZK/ICTU, onder voorzitterschap van VWS. Het CBP heeft deze 
werkgroep het toetsingskader voor de te schrijven notitie meegegeven. Dit kader bestond kortweg 
uit de volgende zes punten: 

1. toegang tot medische gegevens overeenkomstig WGBO en andere wetgeving; 

2. nevengebruik van gegevens slechts voor zover toegestaan; 

3. wettelijk vastleggen hoe gebruik gemaakt mag worden van het persoonsnummer (welke 
instanties en waarvoor); 

4. juistheid van de gegevens waarborgen (o.a. vaststellen juiste identiteit patiënten); 

5. controle en toezicht; 

6. transparantie. 

Het CBP heeft op 22 november 2004 advies uitgebracht over de "notitie inzake het gebruik van 
het burgerservicenummer in de zorg en de beoogde waarborgen" (ons kenmerk z2004-1085). Het 
CBP heeft positief geadviseerd over de invoering van het BSN in de zorg (in plaats van een apart 
sectornummer, het zogenaamde ZIN), met het oog op de in de notitie genoemde waarborgen en 
onder een aantal voorwaarden. Het CBP heeft daarbij wel opgemerkt dat in de notitie een aantal 
belangrijke maatregelen werd genoemd dat nog moest worden gerealiseerd, zoals het uitwerken 
van landelijke standaarden en adviezen voor autorisatie en logging, toezicht en het aanscherpen 
van de gedragsregels voor zorgverzekeraars. Het CBP was en is nog steeds van oordeel dat alle in 
de notitie genoemde maatregelen in samenhang moeten worden bezien en dat zij alle gereed en 
geïmplementeerd dienen te zijn voor de invoering van het BSN in de zorg. Het CBP heeft nog 
steeds zijn bedenkingen bij de vraag of het reëel is ervan uit te gaan dat dit voor 1 januari 2006 in 
orde is. 

De voorwaarden die het CBP heeft genoemd in reactie op de notitie zijn de volgende. Het CBP 
heeft opgemerkt dat de doelomschrijving in de wet sluitend dient te zijn. Dat was niet het geval in 
het concept van de Wet gebruik BSN in de zorg, dat het CBP op dat moment reeds op hoofdlijnen 
heeft beoordeeld. Het CBP heeft in dit kader nogmaals benadrukt dat het CBP van oordeel is dat 
bijvoorbeeld het College voor Zorgverzekeringen (CVZ) niet de bevoegdheid moet krijgen het 
BSN te gebruiken in het kader van de uitvoering van risicoverevening (zoals is geregeld in het 
concept van de Zorgverzekeringswet (Zvw)). Ook benadrukte het CBP dat in de Wet gebruik BSN 
in de zorg duidelijk moet worden gemaakt waarvoor verzekeraars het BSN wel en niet mogen 
gebruiken, en dat het aanscherpen van de gedragsregels voor zorgverzekeraars noodzakelijk is. 
Het CBP gaf aan van oordeel te zijn dat VWS in ieder geval duidelijk zou moeten maken aan 
welke voorwaarden deze gedragsregels moeten voldoen. Daarnaast heeft het CBP als voorwaarde 
gesteld dat de identificatieplicht in zorginstellingen, die reeds was uitgewerkt in het wetsvoorstel 
Fraudebestrijding Zorgverzekeringswetten, diende te worden verscherpt. Ook was het CBP van 
oordeel dat het toezicht op het gebruik van het BSN in de zorg onvoldoende was geregeld. Zo 
diende bijvoorbeeld controle op logging te worden voorgeschreven, zou de naleving van de 
gedragsregels door zorgverzekeraars moeten worden getoetst (bijvoorbeeld door het afleggen van 
een bestuursverklaring en periodieke controle door een externe auditor verplicht stellen) en heeft 
het CBP de rol van de Autoriteit Financiële Markten (AFM) bij het toezicht op de verwerking van 
persoonsgegevens, waaronder het BSN, benadrukt. Tot slot heeft het CBP een test meteen 
pilotapplicatie aanbevolen, die antwoord zou moeten geven op de vraag of de autorisaties en 
andere maatregelen werkbaar zijn. 
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De Wet gebruik BSN in de zorg zal, wanneer deze in werking treedt, dienen te worden bezien in 
samenhang met de Wet algemene bepalingen burgerservicenummer (Wabb), waarover het CBP 
op 10 februari 2005 advies heeft uitgebracht aan de Minister van BZK (ons kenmerk z2004-1734). 

Inhoud beoogde regeling 

Het concept wetsvoorstel gaat over de invoering van het BSN in de zorgsector, waartoe 
zorgaanbieders, zorgverzekeraars (als bedoeld in de Zvw en AWBZ) en indicatieorganen worden 
gerekend. Op de verzekeraars die de aanvullende verzekeringen verzorgen is het concept 
wetsvoorstel derhalve niet van toepassing. Het doel van het gebruik van het BSN is te 
waarborgen dat de in het kader van de verlening, indicatiestelling en verzekering van de zorg te 
verwerken persoonsgegevens op de betrokken cliënt betrekking hebben. Hiertoe bevat het 
concept wetsvoorstel een aantal maatregelen. De belangrijkste zijn de verplichting gebruik te 
maken van het BSN (o.a. bij de verstrekking van persoonsgegevens), de identificatie van cliënten 
bij hun eerste bezoek aan een zorgaanbieder, en het vaststellen van het BSN bij het eerste contact 
van een cliënt met een zorgaanbieder, indicatieorgaan of zorgverzekeraar (tenzij het BSN is 
verstrekt door een andere gebruiker van het BSN in de zin van de Wabb). Daartoe zijn registers 
van zorgaanbieders, indicatieorganen en zorgverzekeraars in het leven geroepen. Het concept 
wetsvoorstel bevat tot slot bepalingen over toezicht en handhaving. 

Turidisch kader 

Zoals boven reeds is beschreven dient het wetsvoorstel te voldoen aan artikel 8 EVRM alsmede 
aan Richtlijn 95/46/EG, waar de WBP een uitwerking van vormt, en aanverwante wetgeving 
zoals de Wet inzake de Geneeskundige Behandelingsovereenkomst (WGBO), opgenomen in het 
Burgerlijk Wetboek (BW), waarin het medisch beroepsgeheim is verankerd. 

Het BSN is een persoonsgegeven in de zin van de WBP, net als bijvoorbeeld NAW-gegevens. De 
WBP bepaalt onder welke voorwaarden persoonsgegevens kunnen worden verwerkt. Deze wet 
stelt strengere eisen aan het verwerken van bijzondere persoonsgegevens, zoals bijvoorbeeld 
persoonsgegevens betreffende de gezondheid ("medische gegevens"), dan aan het verwerken van 
"gewone" persoonsgegevens (zoals NAW-gegevens). Het verwerken van bijzondere 
persoonsgegevens is aan strengere regels gebonden dan de verwerking van andere 
persoonsgegevens. De WBP verbiedt het verwerken van bijzondere persoonsgegevens (artikel 16 
WBP), tenzij sprake is van een van de in de WBP opgesomde ontheffingen van dat verbod (artikel 
17 t/m 23 WBP). Het opvragen van persoonsgegevens, het gebruiken van deze gegevens en het 
verstrekken van deze gegevens aan derden zijn voorbeelden van het verwerken van 
persoonsgegevens in de zin van de WBP. 

Persoonsgegevens betreffende de gezondheid mogen slechts worden verwerkt indien een 
ontheffing wordt gevonden in artikel 21 WBP dan wel artikel 23 WBP. Het BSN dient te worden 
gebruikt bij de uitwisseling van persoonsgegevens betreffende de gezondheid, zodat het toezicht 
op het gebruik van het BSN in de zorg onvermijdelijk ook het verwerken van persoonsgegevens 
betreffende de gezondheid met zich mee zal brengen. Voor het houden van toezicht door de in 
het concept wetsvoorstel aangewezen toezichthouders biedt artikel 21 WBP geen toereikende 
grondslag. Op grond van artikel 23 lid 1 onder e WBP zou een grondslag kunnen worden 
gecreëerd bij wet. Bij de implementatie van artikel 8 lid 4 van Richtlijn 95/46 EG in artikel 23 lid 1 
sub e WBP is er uitdrukkelijk voor gekozen dat besluiten van algemene strekking slechts kunnen 
worden genomen bij wet in formele zin. De verwerking van bijzondere persoonsgegevens dient dus 
in elk geval een grondslag te hebben in een wet in formele zin. Een wettelijke bepaling op grond 
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van artikel 23 WBP dient - mede gelet op artikel 8 EVRM en artikel 10 Grondwet - voldoende 
specifiek te zijn. Artikel 23 lid 1 sub e WBP vereist daarnaast dat de verwerking noodzakelijk is met 
het oog op een zwaarwegend algemeen belang en dat passende waarborgen moeten worden geboden 
ter bescherming van de persoonlijke levenssfeer. De noodzakelijkheid van de verwerking dient door de 
formele wetgever te worden onderbouwd (rekening houdend met de beginselen van 
proportionaliteit en subsidiariteit). Bij besluit mag slechts de uitvoering van de bepaling nader 
worden geregeld. 

Het voorgaande is in het bijzonder van belang indien de bepaling er tevens op is gericht het 
medisch beroepsgeheim te doorbreken. De bepaling moet de hulpverleners verplichten om nader 
bepaalde persoonsgegevens betreffende de gezondheid te verstrekken, opdat hulpverleners hun 
beroepsgeheim mogen doorbreken en deze informatie kunnen verstrekken aan derden. Bij besluit 
mag slechts de uitvoering van de bepaling nader worden geregeld. 

In artikel 24 WBP is bepaald dat een nummer dat ter identificatie van een persoon bij wet is 
voorgeschreven, zoals het BSN, bij de verwerking van persoonsgegevens slechts wordt gebruikt 
ter uitvoering van de betreffende wet dan wel voor doeleinden bij de wet bepaald (lid 1). Bij 
algemene maatregel van bestuur kunnen andere gevallen worden aangewezen waarin het 
betreffende identificatienummer kan worden gebruikt, waarbij die doeleinden wel verenigbaar 
moeten zijn met de doeleinden die bij wet zijn bepaald (artikel 9 WBP). Ook kunnen daarbij 
nadere regels worden gegeven over het gebruik van het betreffende nummer (lid 2). 

De zes punten waaruit het toetsingskader voor de notitie en nu ook voor het concept wetsvoorstel 
bestaat, vinden allen hun oorsprong in de WBP en aanverwante wetgeving. Het eerste punt, 
slechts toegang tot medische gegevens overeenkomstig WGBO en andere wetgeving, is hier 
boven reeds besproken (toegespitst op de toezichthouders). Nevengebruik van gegevens (het 
verder verwerken van persoonsgegevens voor andere doeleinden dan waarvoor zij zijn 
ontvangen) is met name gebonden aan de eisen van de artikelen 9 en 24 WBP. Op grond van 
artikel 9 WBP mogen persoonsgegevens niet verder worden verwerkt op een wijze die 
onverenigbaar is met de doeleinden waarvoor ze zijn verkregen. In aanvulling op artikel 9 WBP is 
in artikel 24 WBP bepaald dat het BSN slechts mag worden verwerkt voor doeleinden die bij de 
wet zijn bepaald (artikel 24 WBP). Het derde criterium, wettelijk vastleggen hoe gebruik mag 
worden gemaakt van het persoonsnummer (door welke instanties en waarvoor) is terug te vinden 
in artikel 24 WBP. Op grond van artikel 11 WBP dienen de nodige maatregelen te worden 
getroffen opdat de persoonsgegevens die worden verwerkt juist en nauwkeurig zijn (vierde 
criterium). Het CBP is van oordeel dat dat bij invoering van het BSN in de zorg onder andere zal 
moeten gebeuren middels het vaststellen van de juiste identiteit van de patiënten/ cliënten. Zowel 
op grond van artikel 11 als ook op grond van artikel 13 WBP, dat de verplichting oplegt passende 
technische en organisatorische maatregelen ten uitvoer te leggen om persoonsgegevens te 
beveiligen tegen verlies of enige vorm van onrechtmatige verwerking, dienen er maatregelen te 
worden getroffen in de vorm van controle en toezicht. Het laatste criterium, transparantie, is een 
van de uitgangspunten van zowel de WBP als ook de WGBO en de Wabb. Betrokkenen hebben er 
recht op inzicht te kunnen krijgen in het gebruik dat van hun gegevens wordt gemaakt. 

Beoordeling 

In uw brief d.d. 28 januari 2005 heeft u gereageerd op het advies dat het CBP op 22 november 
2004 heeft uitgebracht over de "notitie inzake het gebruik van het burgerservicenummer in de 
zorg en de beoogde waarborgen" en de voorwaarden die het CBP daarbij heeft gesteld aan 
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invoering van het BSN in de zorg. In deze brief zal het CBP adviseren over het concept voorstel 
Wet gebruik BSN in de zorg en daarbij aandacht besteden aan uw reactie. 

Realiseerbaarheid plannen en relatie notitie - concept wetsvoorstel 

Zoals de Minister van BVK en u in de brief d.d. 14 mei 2004 aan de Tweede Kamer hebben 
aangegeven dient de invoering van het BSN in de zorg vergezeld te gaan van voldoende 
waarborgen voor een zorgvuldige verwerking van persoonsgegevens. Hiertoe heeft u in de 
"notitie inzake het gebruik van het burgerservicenummer in de zorg en de beoogde waarborgen" 
beschreven welke waarborgen dat zouden zijn. Het CBP is in zijn advies over de notitie akkoord 
gegaan met de invoering van het BSN in de zorg, omdat het van oordeel was dat dit met 
voldoende waarborgen voor een zorgvuldige verwerking van persoonsgegevens gepaard zou 
gaan. Daarbij heeft het zich gebaseerd op het geheel van de in de notitie genoemde waarborgen 
aangevuld met de voorwaarden waaronder het CBP positief heeft geadviseerd. 

Gezien het feit dat alle waarborgen in samenhang dienen te worden bezien, is het CBP van 
oordeel dat de inwerkingtreding van het onderhavige wetsvoorstel (en daarmee de invoering van 
het BSN in de zorg) afhankelijk dient te worden gemaakt van de vraag of alle waarborgen op dat 
moment gereed zijn. Daartoe verzoekt het CBP u de noodzakelijke waarborgen een plaats in de 
wet te geven. Ook dient een aantal waarborgen door het veld te zijn geïmplementeerd. Zo dienen 
instellingen er bijvoorbeeld voor te zorgen dat zij systemen hebben die voldoen aan de eisen van 
een Goed Beheerd Zorgsysteem (GBZ). Indien dat niet het geval is worden risico's genomen die 
kunnen leiden tot onjuiste koppelingen van naam en BSN en daarmee tot vervuiling van de 
(medische) gegevens die landelijk zullen rouleren. 

Een aantal van de door u in de notitie genoemde waarborgen wordt niet genoemd in het 
onderhavige wetsvoorstel, noch in de Memorie van Toelichting daarbij. Het CBP zal daar 
verderop in zijn onderhavige advies op terugkomen. 

Zorgverzekeraars 

Het onderhavige concept wetsvoorstel ziet op het verwerken van het BSN door zorgverzekeraars 
als bedoeld in de AWBZ en Zorgverzekeringswet (Zvw). Een zorgverzekeraar in de zin van de 
Zvw is een verzekeraar die zorgverzekeringen als omschreven in de Zvw afsluit met 
verzekeringnemers. Daaronder vallen slechts de basisverzekeringen, niet de aanvullende (private) 
verzekeringen. Dit heeft als resultaat dat het onderhavige concept wetsvoorstel geen betrekking 
heeft op de aanvullende verzekeringen. 

Ingevolge artikel 2 lid 2 van het concept wetsvoorstel kunnen bij of krachtens amvb "handelingen, 
die rechtstreeks verband houden met zorg, worden aangewezen als zorg" in de zin van het 
onderhavige concept wetsvoorstel. Daarbij kunnen "uitvoerders en verzekeraars van die 
handelingen (...) worden aangewezen als respectievelijk zorgaanbieders en zorgverzekeraars in 
de zin van deze wet." De Memorie van Toelichting bij het concept wetsvoorstel zegt daarover het 
volgende: 

"De motieven voor het invoeren van het verplicht gebruik van het burgerservicenummer kunnen ook gelden 
voor de gegevensuitwisseling (. . .) in het kader van de verlening en de verzekering van zorg waarvoor een 
cliënt zich aanvullend heeft verzekerd. Daarom kunnen verzekeraars die aanvullende verzekeringen 
aanbieden bij of krachtens een algemene maatregel van bestuur op grond van artikel 2, tweede lid, onder de 
reikwijdte van dit wetsvoorstel worden gebracht " 
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Dit roept bij het CBP een aantal praktische vragen op. De administratie binnen de 
ziektekostenverzekeraars zal in theorie wel zo kunnen worden ingericht dat het BSN slechts 
wordt verwerkt voor de uitvoering van de basisverzekering. Het CBP verwacht echter dat dit niet 
handhaafbaar is. Wat de communicatie tussen bijvoorbeeld zorgaanbieders en 
ziektekostenverzekeraars betreft zal het er in de praktijk waarschijnlijk op neerkomen dat het BSN 
altijd zal worden verstrekt bij het declareren van zorg, onafhankelijk van de vraag of deze zorg 
wordt vergoed binnen de basisverzekering of de aanvullende verzekering. Dit betekent dat ook 
de administratie van de aanvullende verzekeringen al snel zal beschikken over het BSN. Een 
wettelijk kader voor het verwerken van het BSN, waarbij voorzien is in allerlei waarborgen, is 
derhalve noodzakelijk om ervoor te zorgen dat het BSN zorgvuldig zal worden verwerkt. Het 
CBP verzoekt u hierin te voorzien, uiterlijk op het moment van inwerkingtreding van de Wet 
gebruik BSN in de zorg. 

Goed Beheerd Zorgsysteem 

Een van de waarborgen die niet wordt genoemd in het concept wetsvoorstel is het pakket aan 
eisen waaraan een Goed Beheerd Zorgsysteem (GBZ) moet voldoen. In de notitie heeft u gezegd 
dat zorginformatiesystemen alleen op de basisinfrastructuur van de zorg mogen worden 
aangesloten indien wordt voldaan de eisen van een GBZ. De GBZ zou specifieke eisen stellen die 
per applicatie zouden verschillen, en algemene eisen, gebaseerd op de Code voor 
informatiebeveiliging (ISO IEC 17799), de NEN-norm voor informatiebeveiliging in de zorg (NEN 
7510) en het beveiligingsadvies van het CBP. Aan zorgverzekeraars zou daarnaast tevens de eis 
worden gesteld dat zij de gedragsregels voor zorgverzekeraars zouden naleven en voldoende 
maatregelen zouden hebben genomen wat betreft de autorisatie. Dit zijn waarborgen die zien op 
invulling van de artikelen 11 en 13 WBP: er moeten maatregelen worden getroffen om er voor te 
zorgen dat de persoonsgegevens die worden verwerkt juist zijn en tegen verlies of enige vorm 
van onrechtmatige verwerking worden beschermd. Voldoende maatregelen op het gebied van 
autorisatie zijn daarnaast vereist op grond van het medisch beroepsgeheim. 

In uw brief aan het CBP d.d. 28 januari 2005 zegt u dat de specificaties van het GBZ nagenoeg 
gereed zijn. Het CBP is echter van oordeel dat dit onvoldoende is. Het College hecht zeer veel 
belang aan de naleving van de betreffende eisen, en verzoekt u derhalve in de Wet gebruik BSN 
in de zorg te bepalen dat informatiesystemen alleen op de basisinfrastuctuur van de zorg worden 
aangesloten indien zij voldoen aan de eisen van een GBZ. Welke eisen dat zijn kan worden 
uitgewerkt in een onderliggende regeling. Daarbij vindt het CBP het met name van belang dat de 
verplichting de NEN-norm en de gedragsregels voor zorgverzekeraars na te leven wettelijk wordt 
vastgelegd, en dat de autorisatie goed is geregeld (overeenkomstig landelijke standaarden en 
adviezen voor autorisatie die, zo kondigde u aan in de notitie, nog zouden worden uitgewerkt). 

Gedragsregels voor zorgverzekeraars 

In uw brief aan het CBP d.d. 28 januari 2005 zegt u dat, hoewel u er wel aan hecht dat de nodige 
maatregelen worden genomen, het stellen van regels aan zorgverzekeraars niet aan de orde is in 
het kader van het onderhavige concept wetsvoorstel. In de "notitie inzake het gebruik van het 
burgerservicenummer in de zorg en de beoogde waarborgen" (in §4 en §5.2 onder D) én in de 
Memorie van Toelichting bij dit concept wetsvoorstel (zie pagina 15) heeft u de ontwikkeling van 
gedragsregels voor zorgverzekeraars echter als een belangrijke waarborg ter bescherming van de 
privacy genoemd en zegt u dat deze gedragsregels misbruik moeten voorkomen. Het CBP zal u 
houden aan deze toezegging. 
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Zoals hierboven reeds is beschreven zullen de gedragsregels voor zorgverzekeraars 
(zorgverzekeraars in de zin van de Zorgverzekeringswet, maar ook de verzekeraars die de 
aanvullende verzekeringen zullen verzorgen) een van de waarborgen zijn die invulling geven aan 
het bepaalde in de artikelen 11 en 13 WBP (een juiste en rechtmatige verwerking van 
persoonsgegevens). Daarnaast zijn de tot stand te komen gedragsregels tevens bedoeld om een 
uitwerking te geven van het medisch beroepsgeheim (van zowel de zorgaanbieders als ook de 
adviserend geneeskundige die in dienst van de zorgverzekeraar medische gegevens verwerkt). In 
dit kader is van belang dat het wetsvoorstel voor de Zorgverzekeringswet, dat momenteel bij de 
Eerste Kamer ligt, niet voldoende grenzen stelt aan het gebruik dat zorgverzekeraars kunnen 
maken van medische gegevens. 

De gedragsregels voor zorgverzekeraars zijn door u niet alleen genoemd als waarborg in verband 
met de invoering van het BSN in de zorg, maar ook in verband met de invoering van de Diagnose 
Behandeling Combinaties (DBCs). Hoewel de zorgaanbieders reeds declareren met gebruik van 
DBC's, stelt het CBP vast dat er nog steeds geen gedragsregels zijn voor de omgang met medische 
gegevens door zorgverzekeraars (net zo min als reeds is voldaan aan de andere waarborgen die 
door u zijn toegezegd in het kader van invoering van de DBC's, zoals vergroving van de DBCs en 
uitwerking van "optie 7"). In feite is de huidige situatie een gedoogsituatie. 

Het CBP dringt er reeds geruime tijd bij de zorgverzekeraars op aan om, in aanvulling op de 
bestaande Gedragscode Verwerking Persoonsgegevens Financiële Instellingen, specifieke 
gedragsregels op te stellen over de omgang met medische gegevens door zorgverzekeraars. In 
juni 2004 heeft Zorgverzekeraars Nederland (ZN) het CBP laten weten dergelijke gedragsregels te 
willen opstellen. Het CBP is hierover sindsdien met ZN in gesprek. Hoewel het de intentie van 
ZN is dat gedragsregels begin oktober gereed en van een goedkeurende verklaring van het CBP 
voorzien zijn, is het CBP van mening dat dit een zeer optimistische planning is (terwijl de 
zorgverzekeraars nog wel de tijd moeten hebben deze gedragsregels te implementeren voor het 
BSN in de zorg wordt ingevoerd). 

Aangezien u de gedragsregels voor zorgverzekeraars als belangrijke waarborg ziet, en om zeker 
te stellen dat er daadwerkelijk een gedragscode komt waarin is vastgelegd hoe zorgvuldig met 
medische gegevens moet worden omgegaan, verzoekt het CBP u wettelijk te verankeren dat de 
totstandkoming en de naleving van gedragsregels voor zorgverzekeraars (die voorzien zijn van 
een goedkeurende verklaring overeenkomstig artikel 25 WBP) een voorwaarde is voor het 
verwerken van het BSN door zorgverzekeraars. Daarbij verzoekt het CBP u aan te geven wat de 
inhoud op hoofdlijnen van deze gedragsregels zal moeten zijn 1 . Bij de toetsing van de 
gedragsregels door het CBP zal het CBP met name beoordelen of de daarin opgenomen regels, 
gelet op de bijzondere kenmerken van de sector, een juiste uitwerking vormen van de WBP en 
aanverwante wettelijke bepalingen, zoals het medisch beroepsgeheim. 

Controle / toezicht 

Het CBP is nog altijd van oordeel dat op het uitwisselen van het BSN in de zorg niet voldoende 
kan worden gecontroleerd op de wijze zoals beschreven in het concept wetsvoorstel. In artikel 14 



1 De wetgever kan bepaalde taken ter regulering aan de betrokken partijen overlaten: "geconditioneerde 
zelfregulering". Zie H.JJ. Leenen, "Handboek gezondheidsrecht, Deel 1, Rechten van mensen in de 
gezondheidszorg", vierde geheel herziene druk 2000, p.19. 
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worden bestaande toezichthouders aangewezen (de IGZ voor het toezicht op de zorgaanbieders, 
het CTZ voor het toezicht op de zorgverzekeraars en nader aan te wijzen personen voor het 
toezicht op de naleving door indicatieorganen) die bovenop hun huidige taken het houden van 
toezicht op de verwerking van het BSN krijgen. Het CBP is van oordeel dat het toezicht op de 
uitvoering van het onderhavige concept wetsvoorstel een structureel onderdeel uit dient te maken 
van het toezicht door de aangewezen toezichthouders. 

Het CTZ zal bij inwerkingtreding van de Wet Marktordening in de Gezondheidszorg (WMG) 
opgaan in de Zorgautoriteit (Za). Op 13 april 2005 heeft het CBP advies aan u uitgebracht over het 
concept wetsvoorstel WMG (ons kenmerk z2005-0070). Daarin heeft het CBP onder meer het 
volgende opgemerkt: 

"Het CBP verzoekt u expliciet in de WMG op te nemen dat een van de taken van de Za is het houden van 
toezicht op de verwerking van persoonsgegevens door ziektekostenverzekeraars (. . .). In de toelichting bij die 
bepaling verzoekt het CBP u duidelijk te maken dat de Za de meest gerede toezichthouder is. Voor alle 
duidelijkheid zou u in de toelichting kunnen toevoegen dat het toezicht op de verwerking van 
persoonsgegevens ook het toezicht op het verwerken van het BSN betekent (zie tevens uw voorstel voor de 
Wet Gebruik BSN in de Zorg, waarin het toezicht op het gebruik van het BSN door zorgverzekeraars wordt 
opgedragen aan het CTZ, dat op zal gaan in de Za). " 

Om te bewerkstelligen dat het toezicht op de verwerking van het BSN een structureel onderdeel 
van het toezicht door de toezichthouders als bedoeld in artikel 14 van het concept wetsvoorstel uit 
zal gaan maken, verzoekt het CBP u in de eerste plaats afspraken te maken met de betreffende 
toezichthouders over de in te zetten capaciteit en de wijze waarop aan het toezicht vorm zal 
worden gegeven. 

In de tweede plaats is het CBP van oordeel dat het opleggen van wettelijke verplichtingen aan 
grote instellingen tot het afleggen van een bestuursverklaring en controle door een externe 
auditor het houden van structureel toezicht door de betreffende toezichthouders zou bevorderen. 
Binnen organisaties zou hieraan invulling kunnen worden gegeven door in ieder geval iedere 
elektronische uitwisseling van het BSN te loggen. Bij ziektekostenverzekeraars zou in de 
bestuursverklaring en de controle van de auditor aandacht moeten worden besteed aan naleving 
van de gedragsregels voor zorgverzekeraars. Het CBP verzoekt u derhalve nogmaals aanvullende 
maatregelen te treffen. 

Overigens zal de verhouding tussen de in het concept wetsvoorstel aangewezen toezichthouders 
en het CBP, dat toezicht houdt op de verwerking van persoonsgegevens als bedoeld in de WBP, 
nader moeten worden bepaald in het programma BSN. 

In de Memorie van Toelichting van het onderhavige concept wetsvoorstel staat dat de 
toezichthouders "met inachtneming van de beperkingen uit hoofde van onder meer het 
beroepsgeheim van zorgaanbieders (kunnen) controleren in hoeverre burgerservicenummers 
conform dit wetsvoorstel worden geadministreerd en uitgewisseld". Het CBP vraagt zich echter 
af hoe de toezichthouders op die manier afdoende kunnen controleren. In de meeste gevallen 
waarin het BSN wordt uitgewisseld zal dit namelijk vergezeld gaan van gegevens die onder het 
medisch beroepsgeheim vallen. Zelfs het feit dat iemand onder behandeling is van een bepaalde 
hulpverlener valt al onder het medisch beroepsgeheim. Het CBP is derhalve van oordeel dat de 
betreffende toezichthouders wel de mogelijkheid moeten hebben om, indien en voor zover 
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noodzakelijk, gegevens in te zien die onder het medisch beroepsgeheim vallen. Hiertoe is echter 
aanpassing van het onderhavige concept wetsvoorstel vereist. 

Onder de gegevens die zullen moeten worden ingezien door de betreffende toezichthouders om 
adequaat toezicht te kunnen houden op de uitwisseling van het BSN zullen ook 
persoonsgegevens betreffende de gezondheid vallen. Dit zijn bijzondere persoonsgegevens als 
bedoeld in de WBP. In het onderhavige concept wetsvoorstel zal derhalve een bepaling op 
moeten worden genomen die voldoet aan de vereisten van artikel 23 lid 1 sub e WBP en het 
medisch beroepsgeheim. Zoals uit het bovenstaande juridisch kader blijkt dient de noodzakelijkheid 
van de verwerking te worden onderbouwd, met het oog op een zwaarwegend algemeen belang en 
moeten passende waarborgen worden genomen ter bescherming van de persoonlijke levenssfeer (artikel 
23 lid 1 sub e WBP). Daarbij dient de bepaling voldoende specifiek te zijn. De bepaling moet de 
hulpverleners verplichten om nader bepaalde persoonsgegevens betreffende de gezondheid te verstrekken, 
opdat hulpverleners hun beroepsgeheim mogen doorbreken en deze informatie kunnen 
verstrekken aan de toezichthouders als genoemd in het concept wetsvoorstel. 

Juistheid van gegevens 

In reactie op ons advies over de "notitie inzake het gebruik van het burgerservicenummer in de 
zorg en de beoogde waarborgen" schreef u in uw brief d.d. 28 januari 2005 dat er wat de 
identificatieplicht betreft is aangesloten bij bestaande / eerder voorgestelde wettelijke regelingen 
en dat u geen aanleiding ziet die te verscherpen. Daarbij merkte u op dat de Wet algemene 
bepalingen BSN (Wabb) de gebruiker van een BSN verplicht zich ervan te verzekeren dat het 
nummer betrekking heeft op de persoon wiens persoonsgegevens hij verwerkt. Het CBP is van 
oordeel dat uw reactie geen afdoende antwoord biedt op de problemen die het CBP in zijn advies 
over de notitie heeft gesignaleerd. Het CBP zal dat hieronder toelichten. 

Het doel van het gebruik van het BSN in de zorg is om "te waarborgen dat de in het kader van 
respectievelijk de verlening, de indicatiestelling en de verzekering van die zorg te verwerken 
persoonsgegevens op de betrokken cliënt betrekking hebben" (artikel 4 lid 1 Wet gebruik BSN in 
de Zorg). Dit doel moet onder meer bereikt worden middels een goede identificatie van de patiënt 
en het opvragen of controleren van diens BSN. 

- > opvragen of controleren van BSN: 

In uw reactie doelde u naar alle waarschijnlijkheid op art. 4.1.5 Wabb. In afwijking van die 
bepaling is in het onderhavige concept wetsvoorstel echter een bepaling opgenomen (artikel 7 lid 
2) waarin is geregeld dat de zorgaanbieder, zorgverzekeraar die of het indicatieorgaan dat het 
BSN ontvangt van een andere gebruiker in de zin van de Wabb, die bij wettelijk voorschrift 
gehouden is het BSN met raadpleging van het nummerregister en de registraties vast te stellen, 
het nummerregister en de registraties niet hoeft te raadplegen. Het onderhavige concept 
wetsvoorstel is een zogenaamde lex specialis ten opzichte van de Wabb, zodat deze bepaling een 
uitzondering op artikel 4.1.5 Wabb is. 

Daar komt bij dat het BSN slechts bij het eerste contact hoeft te worden opgevraagd / 
geverifieerd. Dat is geen probleem, zo lang de identificatieplicht maar goed is geregeld. De juiste 
koppeling naam - BSN ligt namelijk na één controle vast, en zo lang je bij volgende bezoeken de 
identiteit controleert gaat er als het goed is niets meer fout. Het CBP is echter van oordeel dat de 
identificatieplicht niet goed genoeg is geregeld. 
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- > Identificatieplicht: 

De identificatieplicht in ziekenhuizen houdt in dat de zorgaanbieder bij het eerste contact met een 
patiënt om een identiteitsbewijs moet vragen. Dat is geregeld in de Zorgverzekeringswet, en 
wordt nu ook geregeld in artikel 5 van het concept wetsvoorstel. 

Het CBP is van oordeel dat het een probleem is dat na een eerste contact de identiteit niet meer 
hoeft te worden gecontroleerd. Fraude met identiteit blijft daardoor mogelijk. Door identificatie 
niet bij ieder bezoek verplicht te stellen zullen situaties, vergelijkbaar met het "lenen" van 
andermans verzekeringspasje, blijven bestaan ("Een vrouw die volgens haar medisch dossier 
twee keer in korte tijd is bevallen; een man die plots geen litteken meer heeft van een forse 
operatie", zie TK 2003-2004, 29623, nr.3, p.2). 

De invoering van het BSN in de zorg maakt de elektronische koppeling van gegevens 
eenvoudiger. Binnen een paar jaar zal er naar verwachting zelfs een landelijk elektronisch 
medicatie dossier (emd) en vervolgens ook een landelijk elektronisch patiëntendossier (epd) zijn. 
Zoals de werkgroep sectorale vertrouwensfunctie in de "notitie inzake het gebruik van het 
burgerservicenummer in de zorg en de beoogde waarborgen" zegt: "Het nummer is de spil voor 
het betrouwbaar samenbrengen van medische gegevens van één patiënt die verspreid zijn 
opgeslagen bij verschillende zorgaanbieders" (pagina 8). Dit zorgt er echter voor dat 
identiteitsfraude verdergaande consequenties zal krijgen. De foutieve gegevens zullen hierdoor 
steeds verder worden verspreid. Hulpverleners zullen nog meer dan nu het geval is 
voortborduren op de gegevens van andere zorgaanbieders. 

Gezien het bovenstaande verzoekt het CBP u nogmaals de identificatieplicht aan te scherpen, 
opdat identificatie van een patiënt bij ieder bezoek aan een zorginstelling verplicht wordt gesteld. 

In aanvulling op het bovenstaande is het CBP van oordeel dat een ministeriële regeling als 
bedoeld in artikel 10 van het concept wetsvoorstel (waarin volgens de Memorie van Toelichting 
bijvoorbeeld zou kunnen worden uitgewerkt hoe zorgaanbieders, indicatieorganen en 
zorgverzekeraars moeten handelen indien iemand niet over een identiteitsbewijs beschikt) een 
belangrijke waarborg is om identiteitsfraude te voorkomen. Het CBP is daarom van oordeel dat 
een dergelijke ministeriële regeling, die in werking treedt op hetzelfde tijdstip als het onderhavige 
concept wetsvoorstel, dient te worden opgesteld. 

Als alternatief voor aanscherping van de identificatieplicht zou u er bijvoorbeeld ook voor 
kunnen kiezen de zorgaanbieder te verplichten om na controle van het identiteitsbewijs bij het 
eerste bezoek van de patiënt aan de instelling dit identiteitsbewijs in te scannen en in de 
administratie te bewaren. Dit zorgt ervoor dat de medewerker van de zorgaanbieder de patiënt 
wel kan identificeren (wat in dat geval overigens wel een verplichting dient te zijn) terwijl de 
patiënt niet iedere keer weer zijn identiteitsbewijs hoeft te tonen. 

Ook in dit kader is het uitermate belangrijk dat alle waarborgen zijn geïmplementeerd voor het 
BSN in de zorg wordt ingevoerd. Alle instellingen worden namelijk verplicht het BSN te 
verwerken. Zij zullen daartoe allemaal het BSN kunnen krijgen van de betreffende cliënten. Om 
het BSN vervolgens te kunnen verifiëren dienen instellingen echter in registers te staan en te 
voldoen aan de eisen die aan een GBZ worden gesteld. In de eerste plaats is het de vraag of alle 
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zorgaanbieders, zorgverzekeraars en indicatieorganen voor invoering van het BSN in de zorg in 
de registers zijn opgenomen. Daarnaast vraagt het CBP zich af of alle zorgaanbieders op 1 januari 
2006 systemen hebben die voldoen aan alle eisen die aan een GBZ worden gesteld. Er zijn 
namelijk nog steeds zorgaanbieders die geen gebruik maken van computers. Indien dat niet het 
geval is zullen er zorgaanbieders zijn die het BSN verstrekken, omdat zij daartoe wettelijk worden 
verplicht, terwijl zij dat niet hebben geverifieerd (een feit waar de ontvangende instelling 
waarschijnlijk niet mee bekend is). Dat zou betekenen dat het bepaalde in artikel 7 lid 2 Wet 
gebruik BSN in de zorg, dat instellingen het BSN niet hoeven te controleren als zij het van een 
andere instelling hebben gekregen die verplicht is het BSN te controleren, niet reëel is. 

Overige opmerkingen 

Op pagina 21 van de Memorie van Toelichting wordt niet juist omgegaan met de term 
'derden'; die term wordt op een bepaald moment gelijk geschakeld met 'bewerkers'. Derden 
zijn echter niet altijd te beschouwen als bewerkers (zie voor meer informatie de toelichting bij 
artikel 4 van de gedragscode voor Onderzoek & Statistiek, die te vinden is op de website van 
het CBP). 

Op pagina 23 van de Memorie van Toelichting staat dat artikel 9 lid 3 WBP verdere 
verwerking voor historische, statistische of wetenschappelijke doeleinden toestaat. Deze 
bepaling geeft echter geen juridische grondslag voor verdere verwerking van het BSN voor de 
betreffende doeleinden, aangezien het BSN een persoonsnummer is als bedoeld in artikel 24 
WBP. Dat betekent dat dit slechts kan indien bij wet zou worden bepaald dat het verder 
verwerken van het BSN voor die doeleinden is toegestaan én die verwerking noodzakelijk is. 
Het CBP is echter van oordeel dat het verwerken van het BSN voor de betreffende doeleinden 
in het algemeen niet noodzakelijk is aangezien de koppeling van gegevens plaats kan vinden 
middels codering (de zogenaamde "one-way-hashing"). 

Op pagina 29-30 van de Memorie van Toelichting wordt gesproken over het toezicht op de 
verwerking van persoonsgegevens door indicatieorganen. Het CBP wordt echter ten onrechte 
niet genoemd als toezichthouder op het terrein van de verwerking van persoonsgegevens 
(onder meer door indicatieorganen). 

Het CBP verzoekt u de toelichting op bovenstaande punten aan te passen. 

Conclusie 

- Alle waarborgen dienen in samenhang te worden bezien, zodat inwerkingtreding van het 
onderhavige wetsvoorstel afhankelijk dient te worden gemaakt van de vraag of alle 
waarborgen op dat moment gereed zijn; 

- Indien dat niet het geval is, is onder meer het bepaalde in artikel 7 lid 2 van het onderhavige 
concept wetsvoorstel niet reëel; 

- U dient te voorzien in een wettelijke regeling conform artikel 2 lid 2 van het concept 
wetsvoorstel die het gebruik van het BSN door ziektekostenverzekeraars die de aanvullende 
verzekeringen verzorgen verplicht. Die regeling dient in werking te treden op hetzelfde 
moment als het onderhavige concept wetsvoorstel; 

- In het onderhavige concept wetsvoorstel moet worden bepaald dat informatiesystemen alleen 
op de basisinfrastructuur van de zorg worden aangesloten (en dus het BSN kunnen gebruiken) 
indien zij voldoen aan de eisen van een Goed Beheerd Zorgsysteem. Welke eisen dat zijn kan 
worden uitgewerkt in een onderliggende regeling. Met name de verplichting NEN 7510 en de 
gedragsregels voor zorgverzekeraars na te leven moet wettelijk worden vastgelegd, en de 
autorisatie moet goed worden geregeld (overeenkomstig landelijke standaarden); 
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- Het CBP verzoekt u wettelijk te verankeren dat de totstandkoming en naleving van 
gedragsregels voor zorgverzekeraars (die zijn voorzien van een goedkeurende verklaring 
overeenkomstig artikel 25 WBP) een voorwaarde is voor het verwerken van het BSN door 
zorgverzekeraars. Daarbij verzoekt het CBP u voorwaarden te stellen aan de inhoud van deze 
gedragsregels; 

- Het CBP verzoekt u afspraken te maken met de betreffende toezichthouders opdat het toezicht 
op de verwerking van het BSN een structureel onderdeel uit zal maken van hun 
werkzaamheden. Ook verzoekt het CBP u het afleggen van een bestuursverklaring en controle 
door een externe auditor wettelijk verplicht te stellen voor de grotere instellingen; 

- Daarnaast dient u in het onderhavige concept wetsvoorstel een bepaling op te nemen die 
voldoet aan de vereisten van artikel 23 lid 1 sub e WBP en het medisch beroepsgeheim, zodat 
de toezichthouders ook gegevens kunnen inzien die vallen onder het medisch beroepsgeheim; 

- Om identiteitsfraude zoveel mogelijk te voorkomen dient identificatie van een patiënt bij ieder 
bezoek aan een zorginstelling verplicht te worden gesteld; 

- De ministeriële regeling als bedoeld in artikel 10 van het concept wetsvoorstel is een 
belangrijke waarborg en dient derhalve in werking te treden op het moment dat het 
onderhavige wetsvoorstel in werking treedt. 

Het CBP vertrouwt erop u hiermee van dienst te zijn en is desgewenst bereid een mondelinge 
toelichting op dit advies te geven. 



Hoogachtend, 



drs. J.W. Broekema 
Plaatsvervangend voorzitter 
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ONDERWERP 



UW BRIEF VAN 



Advies wetsvoorstel gebruik 
burgerservicenummer in de jeugdzorg 



Bij brief van 18 oktober 2010 heeft de Minister voor Jeugd en Gezin het College bescherming 
persoonsgegevens (CBP) gevraagd, op grond van het bepaalde in artikel 51, tweede lid, Wet 
bescherming persoonsgegevens (Wbp) te adviseren over het concept wetsvoorstel gebruik 
burgerservicenummer in de jeugdzorg (hierna: het wetsvoorstel) . Het CBP voldoet hiermee aan 
dit verzoek. 

De minister heeft in zijn verzoek aangegeven dat het wetsvoorstel qua systeem aansluit bij de Wet 
gebruik burgerservicenummer in de zorg. Over het voorstel van deze wet heeft het CBP bij brief 
van 14 april 2005 (z2005-0108) geadviseerd. 

Inhoud van het wetsvoorstel 

Het wetsvoorstel heeft als doel te waarborgen dat in de jeugdzorg te verwerken 
persoonsgegevens betrekking hebben op de juiste cliënt. Daarom wordt met de voorgestelde wet 
de reeds op grond van de Wet algemene bepalingen burgerservicenummer (Wabb) bestaande 
bevoegdheid tot gebruik van het burgerseivicenummer (BSN) door de bureaus jeugdzorg 
omgezet in een verplichting. Ook zorgaanbieders als bedoeld in de Wet op de jeugdzorg (Wjz) - 
die thans niet de bevoegdheid hebben het BSN te gebruiken - worden hiertoe verplicht. 
Het wetsvoorstel bevat voor zorgaanbieders in de jeugdzorg de verplichting een cliënt bij het 
eerste contact te identificeren (identificatieplicht) en het BSN vast te stellen (verificatieplicht). 
Voor de bureaus jeugdzorg voorziet het wetsvoorstel alleen in een verificatieplicht bij het eerste 
contact met de cliënt. Voorts geldt op grond van de Wabb voor zowel zorgaanbieders als de 
bureaus jeugdzorg de verplichting zich ervan te vergewissen dat het BSN betrekking heeft op de 
betreffende cliënt. 

Het wetsvoorstel schrijft verder voor dat identificatie dient te geschieden aan de hand van een 
wettelijk identificatiemiddel. Voor cliënten jonger dan 14 jaar is hierop een uitzondering gemaakt 
en geldt een alternatieve regeling voor het vaststellen van de identiteit. 

Juridisch kader 

Het wetsvoorstel dient te voldoen aan artikel 8 van het Europees Verdrag tot bescherming van de 
rechten van de mens en de fundamentele vrijheden (EVRM) evenals aan Richtlijn 95/ 46/EG van 
het Europees Parlement en de Raad van 24 oktober 1995, waarvan de Wbp een uitwerking vormt. 

Uit artikel 24 Wbp volgt dat het gebruik van wettelijke identificatienummers, zoals het BSN, een 
wettelijke grondslag moet hebben. 



BU LAGEN 

BLAD 1 



datum 23 december 2010 

ONS KENMERK Z2010"01343 



Ingevolge artikel 8, aanhef onder c, Wbp mogen persoonsgegevens slechts worden verwerkt 
indien de gegevensverwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan 
de verantwoordelijke onderworpen is. In de memorie van toelichting (TK 1997-1998, 25 892, nr. 3, 
p. 82-83) staat dat de term "wettelijke verplichting" betrekking heeft op iedere verplichting tot 
gegevensverwerking die krachtens een algemeen verbindend voorschrift wordt opgelegd. Daarbij 
dient te zijn voldaan aan artikel 8 EVRM. Dat betekent dat een dergelijke verplichting alleen bij of 
krachtens een wet in formele zin in het leven kan worden geroepen voor zover dit in een 
democratische samenleving noodzakelijk is in het belang van de in artikel 8 EVRM genoemde 
doelen, zoals bescherming van de gezondheid. Bij de toepassing van de in artikel 8 EVRM 
opgenomen beperkingsclausule geldt dat de inbreuk op de belangen van de betrokkene niet 
onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel (proportionaliteit). 
Voorts geldt het vereiste dat het doel in redelijkheid niet op een andere voor de betrokkene 
minder ingrijpende wijze, kan worden verwerkelijkt (subsidiariteit). 

Voor dit advies is verder met name artikel 11, tweede lid, Wbp van belang. Ingevolge dit artikel 
treft de verantwoordelijke de nodige maatregelen opdat persoonsgegevens, gelet op de 
doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, juist en nauwkeurig 
zijn. 

Beoordeling 

Maatschappelijke noodzaak 

In de memorie van toelichting bij het wetsvoorstel wordt opgemerkt dat een betrouwbare 
informatie-uitwisseling belangrijk is (p. 1). Er wordt echter geen antwoord gegeven op de vraag of 
in verband met de in artikel 8 EVRM genoemde doelen een maatschappelijke noodzaak bestaat 
om het gebruik van het BSN in de jeugdzorg te introduceren. 

Ter vergelijking wijst het CBP er op dat het gebruik van het BSN in de zorg noodzakelijk werd 
geacht in verband met de bescherming van de gezondheid en het voorkomen van strafbare feiten. 
Dit volgt uit de memorie van toelichting bij deze wet waarin is aangegeven dat door een gebrek 
aan informatie of onjuiste informatie problemen ontstaan met het voorschrijven en verstrekken 
van op elkaar afgestemde medicijnen door meerdere artsen of verschillende apotheken en met het 
stellen van een correcte diagnose door waarnemend huisartsen. Voorts is aangegeven dat door 
gebreken in de gegevensverwerking fouten worden gemaakt met de behandeling van de patiënt, 
soms met ernstige lichamelijke gevolgen. Tot slot wordt het probleem van fraude gesignaleerd 
(TK 2005-2006, 30 380, nr. 3, p. 3). Vergelijkbare problemen liggen volgens de memorie van 
toelichting bij het wetsvoorstel in de jeugdzorgsector niet voor de hand. Zo wordt opgemerkt dat 
persoonsverwisseling niet tot gezondheidsschade zal leiden omdat bij de jeugdzorgverlening 
geen medicijnen worden voorgeschreven, noch onomkeerbare medische operaties worden 
uitgevoerd (memorie van toelichting, p. 5) Verder wordt opgemerkt dat de aard van de jeugdzorg 
met zich brengt dat verwarring over de identiteit van de cliënt niet waarschijnlijk is en cliënten 
zich ter verkrijging van jeugdzorg of jeugd geestelijke gezondheidszorg niet snel voor iemand 
anders uitgeven (memorie van toelichting, p. 6 en 7). 

In de memorie van toelichting ontbreekt verder informatie over de mate waarin onjuiste 
verwerkingen in de jeugdzorg plaatsvinden. Dit is echter van belang voor de beoordeling of het 
gebruik van het BSN in de jeugdzorg een proportioneel middel is om onjuiste verwerkingen tegen 
te gaan. Voorts blijft in het midden of een betrouwbare verwerking van persoonsgegevens ook op 
een andere voor de persoonlijke levenssfeer minder ingrijpende wijze kan worden bereikt. 
Daarom is niet aangetoond dat voor invoering van het BSN in de jeugdzorg een maatschappelijke noodzaak 
als bedoeld in artikel 8 EVRM bestaat. 
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Uitsluitend indien alsnog kan worden onderbouwd dat aan artikel 8 EVRM wordt voldaan, is 
het volgende van belang. 

Identificatie en verificatie 

In artikel 11, tweede lid, Wbp ligt besloten dat de verantwoordelijke ervoor moet zorgen dat de 
persoonsgegevens die hij verwerkt, juist zijn. Dat is in dit geval temeer van belang omdat door de 
bureaus jeugdzorg het BSN wordt gekoppeld aan bijzondere persoonsgegevens, zoals gegevens 
betreffende de gezondheid en strafrechtelijke gegevens. Bij een onjuiste vaststelling van het BSN 
kunnen deze persoonsgegevens aan de verkeerde persoon worden gekoppeld en binnen de 
jeugdzorg en de geestelijke gezondheidszorg gaan circuleren. Een verkeerd BSN kan ook in de 
verwijsindex terecht komen via een melding van een bureau jeugdzorg. Voor een betrouwbare 
verwerking van het BSN in de jeugdzorg zijn waarborgen als identificatie en verificatie van groot 
belang. 

Verificatie 

Uit artikel 2v, tweede lid, van het wetsvoorstel volgt dat verificatie niet nodig is indien het BSN is 
verkregen van iemand die dat nummer al heeft moeten verifiëren of is verkregen uit een andere 
betrouwbare bron. In de memorie van toelichting bij artikel 2v, tweede lid (p. 15) wordt echter 
opgemerkt dat indien er aan wordt getwijfeld dat het correcte BSN is doorgegeven, bijvoorbeeld 
omdat de andere gebruiker een fout heeft gemaakt bij het verstrekken ervan, het BSN uiteraard 
toch geverifieerd moet worden. 

Het CBP adviseert a om dat in de wettekst tot uitdrukking te laten komen. 
Identificatie 

Voor een betrouwbare gegevensverwerking is van belang dat meteen vanaf het moment dat een 
cliënt met de jeugdzorg in aanraking komt, de juiste persoonsgegevens worden vastgelegd. Dit 
kan worden gewaarborgd door een identificatieplicht voor de bureaus jeugdzorg bij het eerste 
contact met de cliënt. Het wetsvoorstel voorziet hierin echter niet. 

Als eerste reden hiervoor wordt genoemd dat ernaar wordt gestreefd om de verplichtingen voor 
de bureaus jeugdzorg zoveel mogelijk gelijk te houden aan die van indicatieorganen en 
verzekeraars binnen de reguliere gezondheidszorg (memorie van toelichting, p. 6). Hiermee 
wordt echter niet onderkend dat de bureaus jeugdzorg verplicht zullen worden het BSN te 
gebruiken voor al hun taken en de aard en omvang van deze taken grotendeels niet vergelijkbaar 
zijn met die van genoemde partijen in de reguliere zorg. 

Als tweede reden wordt genoemd dat het bij de daadwerkelijke jeugdzorgverlening van groter 
belang is dat de identiteit van de cliënt vast staat dan in de fase van de indicatiestelling (memorie 
van toelichting, p. 6). Dit ondermijnt echter het doel van het wetsvoorstel om een betrouwbare 
verwerking van persoonsgegevens te waarborgen, dus ook bij de bureaus jeugdzorg. Het staat 
voorts op gespannen voet met de in de Wbp neergelegde verplichting voor de verantwoordelijke 
om ervoor te zorgen dat de te verwerken persoonsgegevens juist zijn. 

De derde reden voor het ontbreken van een identificatieplicht voor de bureaus jeugdzorg is dat 
verwarring over de identiteit van de cliënt in de jeugdzorg niet voor de hand zou liggen omdat 
een bureau jeugdzorg gedurende langere tijd contact heeft met de cliënt bij het uitoefenen van 
jeugdbeschermingsmaatregelen of jeugdreclassering (memorie van toelichting p. 6). Hiermee 
wordt er echter aan voorbij gegaan dat het BSN moet worden vastgesteld bij het eerste contact 
met de cliënt. Bovendien zijn voor een groep cliënten jeugdbeschermingsmaatregelen niet aan de 
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orde, doch wordt uitsluitend andere jeugdzorg verleend of wordt besloten dat geen aanspraak op 
jeugdzorg bestaat. 

Verder komt de veronderstelling in de memorie van toelichting (p. 6,7), dat cliënten zich ter 
verkrijging van jeugdzorg of geestelijke gezondheidszorg niet snel voor iemand anders uit zullen 
geven, niet overeen met de reden waarom het bureau jeugdzorg Limburg stelt het BSN te 
gebruiken; namelijk onder meer ter voorkoming van fraude (Folder van Bureau jeugdzorg 
Limburg, Toegang (jeugdhulpverlening) info voor ouders/opvoeders, p. 8). 
Gelet op het vorenstaande adviseert het CBP n om in het wetsvoorstel een bepaling op te nemen die de 
bureaus jeugdzorg verplicht de cliënt bij het eerste contact te identificeren. 

Identificatie van cliënten die de leeftijd van 14 jaar nog niet hebben bereikt 
Voor kinderen onder de 14 jaar wordt in het wetsvoorstel een uitzondering gemaakt op het 
uitgangspunt dat het BSN niet mag worden gebruikt als de identiteit van een cliënt niet aan de 
hand van een wettelijk identificatiemiddel kan worden vastgesteld. Voor kinderen onder de 14 
jaar geldt ingevolge de Wet op de identificatieplicht geen verplichting tot het in het bezit hebben 
van een wettelijk identificatiemiddel. De uitzonderingsbepaling is opgenomen omdat het om een 
relatief grote groep cliënten gaat waarvoor het gebruik van het BSN gewenst is in verband met de 
eenduidigheid en de mogelijkheid van elektronische uitwisseling (memorie van toelichting, p. 4). 
Het is echter met het oog op een betrouwbare verwerking van het BSN niet wenselijk dat wordt 
geïdentificeerd op een wijze die met minder waarborgen is omkleed dan identificatie aan de hand 
van een wettelijk identificatiemiddel. Een alternatief zou zijn om cliënten onder de 14 jaar die niet 
in het bezit zijn van een identificatiemiddel te registreren met naam, geboortedatum, postcode en 
huisnummer net als andere cliënten van wie de identiteit niet kan worden vastgesteld (artikel 2x). 
Indien de cliënt op een later moment wel in het bezit komt van een identificatiemiddel, kan vanaf 
dat moment het BSN worden gebruikt. 
Het CBP adviseert u het wetsvoorstel op dit punt aan te passen. 

Inzagerecht Inspectie jeugdzorg 

Uit artikel 47b van het wetsvoorstel volgt dat de bureaus jeugdzorg en de zorgaanbieders 
verplicht zijn op verzoek aan ambtenaren van de Inspectie jeugdzorg persoonsgegevens als 
bedoeld in de Wbp te verstrekken die noodzakelijk zijn voor het toezicht en de naleving van de 
Wjz. Het inzagerecht van de Inspectie jeugdzorg reikt dus verder dan noodzakelijk is voor het 
toezicht op het gebruik van het BSN. In de memorie van toelichting wordt dit niet toegelicht. 
Het CBP adviseert u om de memorie van toelichting op dit punt aan te vullen. 

Re gister zorgaanbieders 

Alleen zorgaanbieders die zijn opgenomen in een daarvoor bestemd register kunnen door het 
raadplegen van het nummerregister en de registraties het BSN dan wel de identiteit van een cliënt 
vaststellen (artikel 2aa). Bij of krachtens algemene maatregel van bestuur wordt geregeld hoe dit 
register wordt ingericht (artikel 2bb). Welke jeugdzorgaanbieders in aanmerking komen om in het 
register te worden opgenomen, is aan verandering onderhevig. Dit komt omdat bij ministeriële 
regeling kan worden ingevuld wat onder jeugdzorg moet worden verstaan en een dergelijke 
regeling drie jaar na inwerkingtreding ervan vervalt (artikel 6 Uitvoeringsbesluit Wet op de 
jeugdzorg). Het risico daarvan is dat zorgaanbieders niet uit het register worden verwijderd 
terwijl de zorg die zij verlenen niet meer onder jeugdzorg valt en zij het BSN dus niet meer mogen 
gebruiken. Uit de memorie van toelichting blijkt niet hoe dit probleem wordt ondervangen. 
Het CBP adviseert u om de memorie van toelichting op dit punt aan te vullen. 
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Delegatiebepaling 

Artikel 2cc, eerste lid, van het wetsvoorstel biedt de mogelijkheid om bij algemene maatregel van 
bestuur artikelen van dit wetsvoorstel aan te wijzen die niet gelden voor bepaalde taken van de 
stichting, bepaalde vormen van jeugdzorg en categorieën van zorgaanbieders. In de memorie van 
toelichting (p. 19) wordt opgemerkt dat deze bepaling de mogelijkheid geeft om af te wijken van 
de verplichting om het BSN te gebruiken. De formulering van de bepaling laat echter de 
mogelijkheid open dat het BSN wel wordt gebruikt maar andere bepalingen van het wetsvoorstel 
en daarin opgenomen waarborgen voor een betrouwbare gegevensverwerking buiten werking 
worden gesteld. Voorts maken het tweede en derde lid van artikel 2cc het mogelijk om bij 
algemene maatregel van bestuur nadere categorieën van cliënten aan te wijzen waarbij kan 
worden afgeweken van de regels omtrent identificatie en verificatie. Ook deze bepalingen kunnen 
dus tot gevolg hebben dat waarborgen voor een betrouwbare gegevensverwerking wegvallen. 
Het CBP adviseert u daarom artikel 2cc, eerste lid, zo aan te passen dat daarin slechts de mogelijkheid wordt 
geboden om van de verplichting het BSN te gebruiken af te wijken. Het CBP adviseert u voorts het tweede 
en derde lid van dit artikel te schrappen. 

Beveiliging 

Op grond van artikel 13 Wbp moet de voor de verwerking verantwoordelijke passende technische 
en organisatorische maatregelen nemen om persoonsgegevens te beveiligen tegen verlies of tegen 
enige vorm van onrechtmatige verwerking. In het wetsvoorstel wordt geen invulling gegeven aan 
dit artikel, doch wordt het stellen van beveiligingseisen gedelegeerd (artikel 2y). Daarom 
ontbreekt vooralsnog een specifiek juridisch kader voor de te treffen beveiligingsmaatregelen, 
waardoor het wetsvoorstel onvoldoende waarborgen biedt voor een goede beveiliging. 
Het CBP adviseert u om het wetsvoorstel op dit punt aan te vullen. 

Foutenmeldpunt 

Cliënten dienen de mogelijkheid te hebben onjuist gebruik van het BSN te melden. Uit de 
memorie van toelichting blijkt niet of daartoe een foutenmeldpunt wordt ingericht voor gebruik 
van het BSN door zowel zorgaanbieders als door de bureaus jeugdzorg. 
Het CBP adviseert u om de memorie van toelichting op dit punt aan te vullen. 

Advies 

Het CBP heeft bezwaar tegen het voorstel van wet en adviseert u dit niet aldus in te dienen. 
Hoogachtend, 

Het College bescherming persoonsgegevens, 
Voor het College, 

mw. mr. dr. J. Beuving 
collegelid 
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